Усилия американских военных по предотвращению отслеживания военнослужащих противниками через покупку данных о местоположении оказались менее эффективными, чем ожидалось, и законодатели хотят знать почему.
Сенатор США Рон Уайден (демократ от Орегона) и представитель Пэт Харриган (республиканец от Северной Каролины) в пятницу запросили расследование Генеральным инспектором Министерства обороны политики, которые лишь частично остановили утечку данных о местоположении, позволяющих отслеживать и нацеливать военнослужащих.
В мае Уайден, Харриган и двухпартийная группа из 12 других членов Конгресса опубликовали подробности о том, как коммерчески приобретаемые данные о местоположении — часто собираемые мобильными приложениями и SDK рекламы — могут использоваться для идентификации мест скопления американских военнослужащих и для нацеливания на эти места. Они отметили, что Министерство обороны осведомлено об этой угрозе как минимум с 2016 года.
Законодатели призвали директора по информационным технологиям Министерства обороны Кирстен А. Дэвис принять меры по снижению этого риска, включая отключение рекламных идентификаторов на смартфонах Министерства обороны и издание политики, требующей отключения рекламных идентификаторов на всех личных устройствах, приносимых в объекты Министерства обороны или используемых за рубежом.
С тех пор различные виды вооруженных сил заблокировали рекламные идентификаторы на устройствах, выданных правительством. Согласно письму, «несколько подразделений Министерства обороны — Армия, ВВС, ВМС и Корпус морской пехоты, а также Командование специальных операций — подтверждают, что теперь они отключают рекламные идентификаторы на устройствах, выданных правительством, для защиты своего персонала от подобных угроз».
Но это не устранило полностью доступность данных о местоположении, связанных с американскими военнослужащими. Ссылаясь на продолжающиеся сообщения, Уайден и Харриган хотят знать, почему данные о местоположении, указывающие на передвижение войск, продолжают быть доступными.
«Мы приветствуем эти виды вооруженных сил за внедрение этой передовой практики кибербезопасности на правительственных устройствах», — заявили они в своем письме [PDF] Генеральному инспектору Министерства обороны. «Однако недавние сообщения о продолжающейся доступности коммерческих данных о местоположении, исходящих из объектов Министерства обороны, вызывают тревожные вопросы».
Два законодателя предполагают причины неэффективности политики Министерства обороны. Одна из возможностей, по их словам, заключается в том, что некоторые части Министерства обороны отключили свои рекламные идентификаторы только в июле. Другая, по их словам, заключается в том, что отключение рекламных идентификаторов может больше не быть достаточным для ограничения доступности данных о местоположении. И третья — данные о местоположении поступают полностью с личных устройств персонала и подрядчиков Министерства обороны.
Зак Эдвардс, исследователь угроз в Infoblox, сообщил The Register по электронной почте, что отрадно слышать, что все виды вооруженных сил отключили рекламные идентификаторы на своих телефонах, поскольку это сделает военнослужащих и их семьи более безопасными, особенно тех, кто служит в зонах боевых действий за рубежом.
«Это изменение фактически гарантирует, что данные о местоположении военных устройств не будут включены в оптовые продажи данных, осуществляемые многочисленными поставщиками», — сказал он. «Весьма прискорбно, что Google и Apple не смогли эффективно реформировать свои мобильные рекламные идентификаторы, даже после того, как было хорошо задокументировано, что это основной элемент данных, используемый брокерами данных для связи данных о местоположении мобильных телефонов людей для оптовых продаж».
Мобильные рекламные идентификаторы (MAID), пояснил Эдвардс, служат ключами для отслеживания людей — они могут связывать различные наборы данных.
«Таким образом, одно из основных преимуществ заключается в том, что военные данные не будут доступны для продажи через брокеров данных, которые продадут их буквально любому, у кого есть пульс и кредитная карта», — сказал Эдвардс. «Но другое, менее очевидное преимущество заключается в том, что этот MAID также транслировался всем рекламным системам, участвующим в аукционах».
Эдвардс сказал, что, хотя штаты, такие как Калифорния, Вермонт, Техас и Орегон, имеют реестры брокеров данных, ему неизвестно о каких-либо российских или китайских поставщиках рекламных технологий, которые зарегистрировались бы. И эти компании, по его словам, в любом случае сотрудничают с западными издателями и мобильными приложениями для сбора данных.
«Я думаю, важно понимать, что эти компании, занимающиеся рекламными технологиями в России и Китае, также, вероятно, получали данные MAID с аукционов программной рекламы от военнослужащих, и компании в этих странах обязаны делиться ими с государством без какой-либо возможности обжалования или предоставления внешнего уведомления», — сказал он. ®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Thomas Claburn
